在云計算與人工智能技術的深度融合下，企業(yè)用云的深化正引領云安全領域邁向新的階段。作為國內(nèi)云計算及人工智能領域的佼佼者，阿里云在2024年發(fā)布的《阿里云安全白皮書2024版》中，率先提出了一個革命性的理念——“云上安全共同體”，這一理念旨在超越傳統(tǒng)的“責任共擔”模型，將云安全提升至一個全新的合作高度。
阿里云智能集團安全部總裁錢磊指出，阿里云不僅要為客戶提供安全可靠的云服務，更要致力于幫助客戶“安全地使用云”。這意味著，阿里云將自身的安全能力轉(zhuǎn)化為客戶的實際安全保障，承擔起更多原本不屬于平臺職責范疇的工作。業(yè)內(nèi)人士評價，這一理念的提出，標志著阿里云在云安全領域的主動擔當和前瞻布局。
回顧歷史，Amazon在2011年首次提出的“責任共擔”模型，奠定了云安全領域的基礎框架。該模型明確劃分了云廠商與云租戶的安全責任：云廠商負責云平臺的安全性，而云租戶則需對自身托管的業(yè)務和數(shù)據(jù)負責。這一模型因其權責清晰、易于理解而迅速成為行業(yè)共識。
然而，隨著云計算技術的演進，特別是容器化、微服務等新特性的涌現(xiàn)，傳統(tǒng)的責任共擔模型已難以滿足當前的安全需求。Google在2022年提出的“shared fate”（命運共同體）理念，得到了業(yè)界的廣泛響應。在實體產(chǎn)業(yè)與互聯(lián)網(wǎng)深度融合的今天，云計算的重要性日益凸顯，任何云上的安全問題都可能導致生產(chǎn)中斷、系統(tǒng)停擺，給企業(yè)帶來巨大損失。
面對這一挑戰(zhàn)，云平臺的安全防護體系必須不斷升級。阿里云的安全布局從外到內(nèi)分為安全情報與研究、檢測響應和內(nèi)生安全三大板塊。在安全情報與研究方面，阿里云憑借豐富的實戰(zhàn)經(jīng)驗和龐大的安全信息數(shù)據(jù)支持，能夠先于攻擊者發(fā)現(xiàn)安全問題，不斷抬高入侵門檻。同時，阿里云還建立了全方位的紅藍對抗反向校驗機制，通過內(nèi)部藍軍團隊和外部白帽生態(tài)的持續(xù)攻擊測試，不斷驗證并加強云平臺的安全防御能力。
在檢測響應方面，阿里云結(jié)合大模型技術，建立了識別和攔截各類顯性和隱性攻擊的縱深防御體系。通過部署反入侵、抗DDoS、WAF等安全工具，并配備專業(yè)安全運營團隊，阿里云能夠第一時間感知并處置攻擊行為。阿里云還引入了大模型能力，極大地提升了安全告警的處置效率。
內(nèi)生安全則是阿里云在云安全領域的又一創(chuàng)新。在企業(yè)用云深度不斷增加的背景下，內(nèi)生安全已成為阿里云公共云安全的“標配”。這一安全策略強調(diào)在產(chǎn)品研發(fā)階段就將安全機制納入進去，將安全設計與業(yè)務流程和技術架構緊密結(jié)合，為客戶提供一個既安全又高效的技術平臺。
然而，即便云平臺的安全防護體系再完善，也仍然面臨著“最后一公里”的難題。在安全的“最后一公里”，涉及到客戶云上資產(chǎn)的操作權限，企業(yè)客戶掌握著絕對主動權。如何幫助客戶真正用好平臺提供的安全能力，成為阿里云安全團隊面臨的又一挑戰(zhàn)。
為此，阿里云提出了“安全共同體”理念，旨在通過一系列切實可行的安全保障措施，幫助客戶更深入地思考、制定、理解安全策略，并支持這些安全策略更順暢、便捷地落地實施。從“責任共擔”到“安全共同體”，不變的是云平臺對基礎設施、物理設備、云服務產(chǎn)品安全的全權負責；變化的是，云平臺將發(fā)揮主觀能動性，為客戶提供更加全面、深入的安全支持。
例如，針對云租戶密鑰信息泄露的問題，阿里云與GitHub官方達成合作，一旦監(jiān)測到有密鑰泄露事件，立即進行限制性保護，并第一時間通知用戶處理。同時，阿里云還提供了一種密鑰輪轉(zhuǎn)機制，幫助用戶更換密鑰，確保即使密鑰泄露，黑客也無法使用。
阿里云深知，雖然平臺為安全提供了全方位的支持，但客戶仍需承擔起業(yè)務第一安全責任人的角色。面對上百萬個客戶，阿里云無法了解每個客戶的業(yè)務邏輯。因此，當可疑的攻擊事件發(fā)生時，阿里云能做的只有限制性保護，而更進一步的安全措施，仍需用戶主動完成。
阿里云提出的“安全共同體”理念，不僅是對傳統(tǒng)責任共擔模型的繼承和升級，更是產(chǎn)業(yè)互聯(lián)網(wǎng)時代阿里云向前邁出的一大步。這一理念的本質(zhì)，是在當前復雜多變的安全態(tài)勢下，向云租戶發(fā)起的一個“雙向奔赴”的倡議——讓每一份珍貴數(shù)據(jù)都得到守護，共同推動云計算成為推動社會進步的強大動力。
